Legit Security חושפת פגיעות מסוג ביצוע קוד מרחוק ב-Azure Pipelines של מיקרוסופט, שמהווה סיכון חמורי לשרשראות אספקת תוכנה

דרוג:

 

 

Legit Security חושפת פגיעות מסוג ביצוע קוד מרחוק ב-Azure Pipelines של מיקרוסופט, שמהווה סיכון חמורי לשרשראות אספקת תוכנה

 

תל אביב, 4 באפריל 2023, (GLOBE NEWSWIRE) :

 

Legit Security , חברת אבטחת סייבר עם פלטפורמה ארגונית המגנה על שרשרת אספקת התוכנה של ארגונים מפני התקפה ומבטיחה אספקת יישומים מאובטחת, הודיעה כי היא חשפה פגיעות מסוג ביצוע קוד מרחוק ב-Azure Pipelines של מיקרוסופט. הפגיעות מאפשרת לתוקפים לנצל את שרתי ה-Azure DevOps של מיקרוסופט כדי ליזום התקפות על שרשרת האספקה ​​של תוכנה ולהפעיל קוד זדוני שעלול לסכן את האבטחה והשלמות של מוצרי התוכנה של הארגון. לאור השימוש הנרחב ב-Azure Pipelines בפיתוח תוכנה, פגיעות זו מהווה סיכון משמעותי לעסקים המסתמכים על השירות כדי לספק את התוכנה שלהם. Legit Security עבדה בשיתוף פעולה הדוק עם Microsoft כדי לחשוף ולתקן את הפגיעות ומידע על הדרך למזער סיכונים ניתן למצוא בבלוג הגילוי הטכני של Legit Security.

הפגיעות מסוג ביצוע קוד מרחוק שהתגלתה בידי Legit Security קיבלה את הרישום CVE-2023-21553 ומשפיעה על Azure Pipelines, שירות אינטגרציה מתמשך ואספקה ​​מתמשכת (CI/CD) פופולרי מאוד מבית מיקרוסופט. מערכות בניית תוכנה כגון Azure Pipelines הן הבסיס לתהליך פיתוח תוכנה והן אחראיות ליצירה ולהידור קוד למוצרי תוכנה, ולמיכון השחרור שלהם. פגיעויות בתוך מערכת הבנייה מסוכנות מאוד מאחר שתוקפים יכולים להחדיר קוד זדוני ולהדביק את מוצרי התוכנה המפותחים, ולהעביר אותם במורד הזרם ללקוחות.

 

הפגיעות שהתגלתה מקורה במנגנון פקודות הרישום של Azure Pipelines ומאפשרת לתוקפים לבצע קוד שעלול לפגוע ישירות באבטחה ובשלמות של התוכנות המועברות ללקוחות. בנוסף יכולים התוקפים למנף את הפגיעות הזו כדי לגשת לסודות רגישים הכלולים בצינור התוכנה, כגון סיסמאות למשאבים רגישים ומפתחות גישה לשירותי ענן, כדי ליזום התקפות רוחביות ולסכן את הארגון עוד יותר. כתוצאה מכך, לפגיעות זו עלולה להיות השלכות הרסניות, אם לא תטופל, בעסקים המסתמכים על Azure Pipelines כדי לבנות ולפרוס את התוכנה שלהם.

 

"צינורות בניית תוכנה הם חלק קריטי בשרשרת האספקה ​​של התוכנה, ופגיעויות בתוכם יכולות לאפשר הזרקת קוד זדוני ושיבוש קוד בדומה למתקפת SolarWinds הידועה לשמצה", אמר ליאב כספי, מנהל הטכנולוגיה הראשי ומייסד שותף של Legit Security. "יצרני תוכנה צריכים להיות ערניים בהגנה על שרשרת אספקת התוכנה שלהם, הכוללת אבטחת צינורות בנייה וטיפול בנקודות תורפה כמו זו שגילינו ב-Azure Pipelines של מיקרוסופט".

 

Legit Security עבדה בשיתוף פעולה הדוק עם מיקרוסופט כדי לטפל בפגיעות, ופורסם תיקון שמאפשר להקטין את הסיכון. משתמשים עם גרסה לא מעודכנת של Azure DevOps Server עלולים להישאר פגיעים, ומשתמשים בגרסה המקומית (ADO Server גרסה 2020.1.2 ומטה) צריכים להחיל את התיקון בהקדם האפשרי. יש לציין שלא כל צינור ב-Azure Pipelines פגיע, וזה תלוי בתכונות ובתבניות פקודות הרישום בהם משתמשים. מומלץ מאוד לארגונים המשתמשים ב-Azure Pipelines לעיין בבלוג הגילוי הטכני של Legit Security כדי לקבוע אם הם מושפעים וכדי למזער את הסיכונים.


אודות Legit Security

 

Legit Security מגינה על שרשרת אספקת התוכנה של הארגון מפני התקפה ומבטיחה אספקת יישומים מאובטחת, משילות וניהול סיכונים מהקוד עד לענן. מישור בקרת אבטחת האפליקציות האחוד בפלטפורמה, ויכולות הגילוי והניתוח האוטומטיות של SDLC מספקים נראות ובקרת אבטחה על סביבות משתנות במהירות, ומאפשרים לתעדף בעיות אבטחה בהתבסס על הקשרים ועל רמת הקריטיות העסקית כדי לשפר את יעילות צוותי האבטחה.

 

קשרי מדיה

 

Tony Keller

[email protected]

 

 

*** הידיעה מופצת בעולם על ידי חברת התקשורת הבינלאומית GlobeNewswire

 

לפרטים נוספים: נוי תקשורת 03-6026026 זהר 052-2641769


תגיות של המאמר: Legit Security |

כתבות נוספות בקטגוריה הייטק וטכנולוגיה

Advanced Communications and Electronic Systems (ACES) ו-Radisys חותמות על מזכר הבנות להאצת החדשנות והפיתוח של רשתות 5G אלחוטיות פתוחות (ORAN) Advanced Communications and Electronic Systems Com
Xsolla מרחיבה את מיצובה המוביל בתחום החידושים ופיתוחי המשחקים ב-APAC, באמצעות שותפות אסטרטגיות חדשות עם העיר בוסאן וחברת BDAN ‏Xsolla, חברה גלובלית למסחור של משחקי וידאו, מטרו
Recursion  ו- Exscientia, שתי מובילות בתחום גילוי התרופות בתחום הבינה המלאכותית, התאחדו באופן רשמי כדי לקדם את התיעוש של גילוי תרופות השילוב העסקי של שתי חברות גילוי ופיתוח תרופות מבוס
Microsoft Fabric ישנה את איכות הנתונים והשימושיות בכל רחבי הארגון Quantexa, ספקית מובילה בפתרונות מודיעין לקבלת החלט
Anaqua תירכש על ידי Nordic Capital, משקיעה פרטית מובילה בתחום הטכנולוגיה והתשלומים Anaqua, ספקית מובילה של פתרונות ושירותים טכנולוגיי
Tū Ātea ו-Mavenir משתפות פעולה כדי להיות לחלוצות בעתיד הרשתות המשתמשות בנכסי הספקטרום המאורי Mavenir, ספקית תשתיות הרשת בענן הבונה את עתיד הרשת
Cloudera תרכוש את הפלטפורמה של Octopai כדי לספק נתונים מהימנים לאורך כל אחוזת הנתונים בענן ההיברידי Cloudera, הפלטפורמה ההיברידית האמיתית היחידה עבור
Cloudera חושפת סייען בינה מלאכותית חדש שיעזור לשפר את היעילות עבור העוסקים בנתונים Cloudera, הפלטפורמה ההיברידית האמיתית היחידה עבור
Bitget Wallet השיקה תוכנית תמיכה למיני אפליקציות ב-Telegram בהיקף של 20 מיליון דולר בשיתוף עם Foresight Ventures Bitget Wallet, אפליקציית ארנק ה-Web3 ללא משמורת המ
חברת F5 ממנפת את NVIDIA BlueField-3 DPUs כדי להאיץ את אספקת יישומי AI עבור ספקי שירותים וארגונים גדולים חברת F5 ממנפת את NVIDIA BlueField-3 DPUs כדי להאיץ
Xsolla השיקה את הדו"ח לסתיו 2024 על עתיד הגיימינג במכשירים ניידים ופיתוח משחקים: ניתוח נתונים אחרון ומגמות מתפתחות Xsolla, חברה עולמית למסחר במשחקי וידאו, גאה להכריז
דאק קריק מקימה מרכז מצוינות בפולין כדי לשפר את התמיכה הגלובלית בלקוחות Duck Creek Technologies (דאק קריק טכנולוגיות), ספק
11x גייסה 50 מיליון דולר עם סדרה B בהובלת Andreessen Horowitz כדי להאיץ את עידן העובדים הדיגיטליים 11x, המובילה בתחום העובדים הדיגיטליים מונעי הבינה
Synchronoss מחדשת את השותפות עם מפעילה צרפתית מובילה Synchronoss Technologies, Inc. ("Synchronoss" או
Hakeem של Walee Financial Services זכה בפרס המצוינות של פסטיבל הפינטק בסינגפור עבור מוצרי פינטק פורצי דרך Walee Financial Services מכריזה בגאווה כי מוצר הפי
Lantronix מאיצה את מובילות ה-IoT שלה עם רכישה אסטרטגית של פורטפוליו ה-IoT של NetComm Enterprise מבית DZS Lantronix Inc. לנטרוניקס (נאסד"ק: LTRX), ספקית גלו
שימוש ב-Milbros UV Graphs משפר את הבטיחות וההחזרה בניקוי מכלים כימיים Milbros, פתרון של Veson Nautical ומסד הנתונים האמי
Bitget רושמת את Swell (SWELL) ב-Launchpool, Poolx ו-Spot עם 23,440,000 אסימונים כפרסים Bitget, בורסת המטבעות הקריפטוגרפים וחברת ה-Web3 המ
MLL Legal בוחרת בפלטפורמת משרדי עורכי הדין AQX של Anaqua כדי לשפר את ניהול הקניין הרוחני ולהניע יעילות תפעולית Anaqua, הספקית המובילה של טכנולוגיית ניהול חדשנות
Vasion מסירה את הלוט מעל אוטומציית הפלט: מחוללת מהפכה בניהול פלט ואוטומציה של זרימת עבודה באמצעות פתרון מקורי בענן ®Vasion, חלוצה בהדפסה ללא שרת ובאוטומציה מתוזמרת,
הוסף תגובה 
תגובות  ( תגובות)